サイバーセキュリティ企業Intezerの調査によると、新種のマルウェア「SSLoad」が、これまで文書化されていなかった「PhantomLoader」と呼ばれるローダーを介して配布されている。PhantomLoaderは、正規のDLL（主にEDRやAV製品）にバイナリパッチを適用し、自己修正技術を用いて検出を回避することで追加される。SSLoadは、フィッシングメールを通じてシステムに侵入し、偵察を行い、被害者にさらなるマルウェアを配布する。このマルウェアは、様々な配信方法を用いることから、マルウェア・アズ・ア・サービス（MaaS）モデルで他の脅威アクターに提供されている可能性がある。SSLoadは、Cobalt Strikeなどの正規の敵対者シミュレーションソフトウェアを展開するために使用されており、2024年4月から検出されている。
攻撃チェーンは、MSIインストーラーの使用を含み、これが起動されると感染シーケンスが開始される。具体的には、360 Total SecurityのアンチウイルスソフトウェアのDLLモジュール（”MenuEx.dll”）に偽装した32ビットのDLLであるPhantomLoaderが実行される。この初期段階のマルウェアは、ペイロードを抽出・実行し、RustベースのダウンローダーDLLを介して、リモートサーバーから主要なSSLoadペイロードを取得する。最終ペイロードもRustで書かれており、侵害されたシステムを指紋認証し、その情報をJSON文字列の形でコマンド＆コントロール（C2）サーバーに送信した後、さらなるマルウェアのダウンロードを指示するコマンドに応答する。
SSLoadは、偵察を行い、検出を回避し、さまざまな配信方法と技術を通じてさらなるペイロードを展開する能力を示している。また、動的な文字列復号化とアンチデバッグ対策は、その複雑さと適応性を強調している。フィッシングキャンペーンでは、JScript RATやRemcos RATなどのリモートアクセストロイの木馬も配布され、サーバーから受信したコマンドの永続的な操作と実行を可能にしている。
【ニュース解説】
サイバーセキュリティの分野で新たな脅威が報告されました。この脅威は、SSLoadと呼ばれる新種のマルウェアであり、PhantomLoaderというこれまでに文書化されていなかったローダーを介して配布されています。このローダーは、正規のDLLファイル（主にエンドポイント検出応答（EDR）やアンチウイルス（AV）製品に関連するもの）にバイナリパッチを適用し、自己修正技術を用いることで検出を回避します。
SSLoadマルウェアは、フィッシングメールを通じてシステムに侵入し、その後、偵察活動を行い、被害者のシステムにさらなるマルウェアを配布する能力を持っています。このマルウェアは、その配布方法の多様性から、マルウェア・アズ・ア・サービス（MaaS）モデルで他の脅威アクターに提供されている可能性があります。また、SSLoadはCobalt Strikeなどの正規の敵対者シミュレーションソフトウェアの展開にも使用されています。
攻撃の手順としては、MSIインストーラーを使用して感染シーケンスが開始され、PhantomLoaderが実行されます。このローダーは、360 Total SecurityのアンチウイルスソフトウェアのDLLモジュールに偽装されており、ペイロードを抽出・実行する役割を果たします。その後、RustベースのダウンローダーDLLを介して、リモートサーバーからSSLoadの主要なペイロードが取得されます。最終的なペイロードは、侵害されたシステムの情報を収集し、それをJSON文字列の形でコマンド＆コントロール（C2）サーバーに送信します。その後、サーバーからの指示に従って、さらなるマルウェアがダウンロードされます。
このニュースは、サイバーセキュリティの世界における新たな脅威の出現を示しています。SSLoadのようなマルウェアは、その偵察能力と検出回避技術を通じて、企業や個人のセキュリティ対策を脅かす可能性があります。また、マルウェア・アズ・ア・サービス（MaaS）モデルの存在は、脅威アクターがより簡単に高度な攻撃ツールを入手し、使用することを可能にしています。このような状況は、サイバーセキュリティ対策の強化と、フィッシングメールなどの攻撃手法に対する意識の向上を一層重要にしています。
長期的な視点では、サイバーセキュリティ業界は、新たな脅威に対応するための技術と戦略の開発を続ける必要があります。また、企業や個人は、セキュリティ対策を常に最新の状態に保ち、教育と訓練を通じてサイバーセキュリティ意識を高めることが求められます。このような取り組みを通じて、サイバー攻撃のリスクを最小限に抑え、安全なデジタル環境を維持することができます。
from Cybercriminals Employ PhantomLoader to Distribute SSLoad Malware.
